KI-Richtlinie im Unternehmen: fünf Regeln für ChatGPT und Copilot

Sehr wahrscheinlich ja. Der jährliche Verizon-Bericht zu Datenschutzverletzungen (Ausgabe 2026) zeigt, dass 45 % der Menschen KI regelmäßig auf Arbeitsrechnern nutzen, gegenüber 15 % ein Jahr zuvor. Schlimmer: 67 % melden sich bei diesen Diensten mit Konten an, die das Unternehmen nicht kontrolliert.

KI, die am Unternehmen vorbei genutzt wird, die sogenannte Schatten-KI, ist zur dritthäufigsten internen, nicht böswilligen Ursache von Datenlecks geworden. Ein Verbot löst das also nicht. Ohne offizielle Alternative nutzt das Team Smartphone und privates Konto, und das Unternehmen verliert den Überblick darüber, was hinausgeht.

Alles, was in den Chat kopiert wird. Die Beispiele sind banal: ein Kontoauszug zur Zusammenfassung, die Nachricht eines Kunden, vom Vertrieb umformuliert, eine Leistungsbeurteilung, von der Personalabteilung aufpoliert.

Was alles ändert, sind die Nutzungsbedingungen. In den Verbraucherversionen kann OpenAI die Unterhaltungen zum Training seiner Modelle verwenden, sofern der Nutzer diese Einstellung nicht deaktiviert. In den Business-Abonnements und in der API ist das Standardverhalten umgekehrt: Die Inhalte bleiben vom Training ausgeschlossen. Die Grenze zwischen beiden Welten ist ein vom Unternehmen verwaltetes Business-Konto.

Einfacher Vergleich: Ein Geschäft mit KI über ein privates Konto zu besprechen, ist wie am Telefon in einem vollen Zug zu verhandeln. Mit einem Business-Konto findet das Gespräch in einem geschlossenen Raum statt, mit Hausregeln und Protokoll, wer anwesend war.

Ja, wenn die Berechtigungen bereits falsch sind. Microsoft 365 Copilot bricht keine Tür auf: Laut Microsoft-Dokumentation liefert er nur Informationen, auf die der Nutzer bereits mindestens Lesezugriff hat. Die Gefahr liegt in Freigaben, die niemand geprüft hat.

Genau das finden wir in Audits regelmäßig. Ein Ordner der Geschäftsleitung, offen für die gesamte Organisation. Ein vor drei Jahren erstellter Link zur Gehaltsliste, gültig für jeden Kollegen. Eine SharePoint-Site eines abgeschlossenen Projekts, ohne Einschränkungen. Jahrelang blieb das unbemerkt. Mit Copilot kann eine Frage zur Vergütung des Vertriebsteams sofort beantwortet werden.

Die Reihenfolge ist nicht verhandelbar: zuerst Zugriffe in SharePoint, OneDrive und Teams bereinigen, dann Copilot für eine kleine Gruppe öffnen. Es geht darum, das Microsoft 365 des Unternehmens richtig zu konfigurieren, nicht darum, mehr Lizenzen zu kaufen.

Fünf genügen. Sie passen auf eine Seite, und unterschreiben muss die Geschäftsleitung, nicht der Techniker.

Binden Sie sie in die internen Sicherheitsrichtlinien ein, die jede Organisation mit mehr als 10 Personen dokumentiert haben sollte.

Checkliste vor dem ersten Pilotprojekt

• Authentifizierung MFA für alle Konten aktiv, ohne Ausnahmen.
• Austritte Nutzer, die gegangen sind, gelöscht und Lizenzen zurückgegeben.
• Öffentliche Links Links „jeder mit dem Link“ geprüft und wo möglich deaktiviert.
• Geschützte Bereiche Geschäftsleitung, Personal und Finanzen nur für die, die sie brauchen.
• Testgruppe 5 bis 10 Nutzer, mit festem Termin für die Auswertung.

KI-Kompetenz. Die Verordnung (EU) 2024/1689 gilt seit dem 1. August 2024 und wird gestaffelt angewendet. Für ein Unternehmen, das ChatGPT oder Copilot im Arbeitsalltag nutzt, zählen drei Punkte:

• Seit dem 2. Februar 2025 Gelten die verbotenen Praktiken und Artikel 4. Wer KI einsetzt, muss sicherstellen, dass die Menschen ausreichend vorbereitet sind, um sie mit Urteilsvermögen zu nutzen.
• Juli 2026 Die Verordnung (EU) 2026/1744, bekannt als digitaler KI-Omnibus, verschob die Pflichten für Hochrisiko-Systeme auf den 2. Dezember 2027 (eigenständige Systeme) und den 2. August 2028 (in Produkte eingebettete Systeme). Die KI-Kompetenz blieb Pflicht.
• Hohes Risiko Umfasst zum Beispiel Bewerberauswahl, Biometrie und kritische Infrastrukturen. Wenn KI bei der Personalauswahl mitwirkt, holen Sie eine rechtliche Einschätzung ein.

Wer KI nutzt, um Nachrichten zu formulieren, Berichte zusammenzufassen oder Angebote zu erstellen, braucht keine Zertifizierung. Er muss nachweisen, dass das Team das Werkzeug kennt, weiß, wo es versagt, und sorgfältig mit Daten umgeht. Regel 5 sichert diesen Nachweis.

DataRoad leistet keine Rechtsberatung. Wir setzen den technischen Teil um (Konten, Zugriffe, Protokolle) und unterstützen die Vorbereitung der Schulung.

Velv by OnRising entwickelt Software in Porto, Lissabon und Rio de Janeiro, mit rund 200 von DataRoad in IT Unlimited betreuten Arbeitsplätzen. Fast die Hälfte des Umsatzes (45 %) stammt von internationalen Kunden, und der Vertrag umfasst Firewall, Netzwerksicherheit und Schutzrichtlinien.

Für ein solches Team ist die Entscheidung, welche Kundeninformationen durch eine KI gehen dürfen, Routine, und die Regel muss in allen drei Städten gleich sein. Die KI-Richtlinie kommt in das bestehende Richtlinienpaket und wird vom selben Team umgesetzt, das Identitäten, Zugriffe und Geräte verwaltet.

1. Fragen: finden Sie heraus, welche KI-Dienste das Team heute nutzt.
2. Offiziell machen: wählen Sie ein Werkzeug und geben Sie ihm Business-Konten.
3. Prüfen: lassen Sie die Zugriffe vor jedem Copilot-Test prüfen.

Ohne flächendeckende MFA ist das die Priorität: der Einstieg in ein Zero-Trust-Modell für KMU. Und vergessen Sie nicht, dass auch Angreifer KI nutzen: Es lohnt sich, die Menschen auf Phishing und Deepfakes vorzubereiten.

DataRoad prüft die Freigaben Ihres Microsoft 365, zeigt Ihnen, was Copilot sichtbar machen würde, und liefert das unterschriftsreife Regelblatt. Der Schutz ist Teil des Tarifs IT Unlimited Premium und unserer vollständigen Managed Cybersecurity. Fordern Sie ein unverbindliches Angebot an.

Ab 10 Arbeitsplätzen · Servicevertrag · Support remote, vor Ort und telefonisch. Rufen Sie an: +351 211 459 950 * oder schreiben Sie an sales@dataroad.pt.

*Anruf ins portugiesische Festnetz.

• Verizon DBIR 2026 (Executive Summary)
• Microsoft Learn: Datenschutz und Datensicherheit in Copilot
• OpenAI: Verwendung von Daten zum Modelltraining
• EUR-Lex: Text des AI Act, Verordnung (EU) 2024/1689
• EUR-Lex: digitaler KI-Omnibus, Verordnung (EU) 2026/1744
• Europäische Kommission: neue Termine für Hochrisiko-Systeme